Курсовая работа по информационным технологиям на тему Анализ методов NLP и векторного представления для выявления схожих инцидентов в журналах работы автономного ИИ-агента

1 Журналы событий автономных систем как объект обработки
1.1 Особенности структуры и содержания логов
Журналы событий (логи) представляют собой хронологически упорядоченные записи, фиксирующие действия и состояния системы. В контексте автономных ИИ-агентов логи имеют ряд особенностей, отличающих их от традиционных системных логов.
Во-первых, структура логов часто является полуструктурированной или неструктурированной. Типичная запись может включать временную метку, идентификатор агента, уровень важности (INFO, WARNING, ERROR) и текстовое сообщение, которое может содержать как шаблонизированные фрагменты, так и свободный текст на естественном языке. Пример такой записи:
[2025-03-21 10:15:32] [AGENT-42] [INFO] Начало выполнения задачи: "обработка запроса пользователя".
В соответствии с требованиями к системам сбора данных о событиях, журнал должен содержать подробное описание события, категорию (крупное событие, требующее немедленных действий, или незначительное событие), имя пользователя, инициирующего событие, а также отметку времени входа [4]. Все изменения конфигурации должны регистрироваться в журнале событий с указанием как предыдущих, так и новых значений [4].
Во-вторых, объем данных чрезвычайно велик. Автономные агенты могут генерировать тысячи и миллионы записей в день, что делает невозможным ручной анализ и требует применения масштабируемых методов автоматической обработки.
В-третьих, логи содержат разнородную информацию. В них могут присутствовать:
 системные сообщения (запуск/остановка процессов);
 сообщения об ошибках (исключения, таймауты);
 результаты выполнения действий (успех/неудача);
 контекстные данные (идентификаторы пользователей, параметры запросов);
 трассировка вызовов (stack traces).
Для целей выявления схожих инцидентов наибольший интерес представляют сообщения об ошибках, нештатных ситуациях и аномалиях. Однако простое выделение таких сообщений не решает задачу, поскольку одно и то же событие может быть описано разными формулировками, а схожие, по сути, инциденты могут различаться в логах из-за варьирующихся параметров.
В таблице 1 приведены основные характеристики журналов событий ИИ-агентов, важные для выбора методов обработки.
Характеристика Описание Значение для NLP-обработки
Объём данных Высокий (миллионы записей) Необходима автоматизация и масштабируемость
Структурированность Слабая, смешанная (шаблоны + свободный текст) Требуется гибкая предобработка
Язык Преимущественно русский или английский, возможны смешанные тексты Учёт языковой специфики в методах
Наличие параметров Присутствуют переменные части (ID, имена, числа) Нужна нормализация или специальная обработка
Многовариатность Одно событие может описываться разными фразами Требуется семантический анализ
Таб. 1. – Характеристики журналов событий ИИ-агентов
Анализ литературы показывает, что успешная обработка логов требует комбинированного подхода, сочетающего методы извлечения шаблонов (log parsing) и семантического анализа текста. Первый этап позволяет выделить инвариантную структуру сообщения, второй – обеспечить понимание смысла.

1.2 Специфика инцидентов в работе ИИ-агентов
Инцидент в контексте работы автономного ИИ-агента понимается как событие, отклоняющееся от нормального хода выполнения, включая сбои, ошибки, неожиданные состояния или действия, требующие вмешательства. Как отмечается в работах по классификации текстов об инцидентах, выявление и группировка подобных сообщений имеет ключевое значение для обеспечения безопасности и надёжности систем [5].
Специфика инцидентов в ИИ-агентах заключается в том, что они часто являются следствием не только программных ошибок, но и когнитивных ограничений агента, непредвиденных ситуаций во внешней среде или неоднозначности инструкций. Соответственно, текстовые описания инцидентов могут быть более сложными и разнообразными по сравнению с традиционными системными логами.
Рассмотрим типовые категории инцидентов:
1. Синтаксические ошибки – ошибки в формате данных, неверные параметры вызовов.
2. Семантические ошибки – агент выполнил действие, не соответствующее контексту или цели.
3. Таймауты и недоступность ресурсов – невозможность выполнить действие за отведённое время.
4. Нарушения безопасности – попытки выполнения несанкционированных действий.
5. Неопределённость – агент не может принять решение из-за недостатка информации.
Каждый тип инцидента имеет характерные языковые паттерны, которые могут быть выявлены методами NLP. Однако наличие параметров (например, идентификаторов ресурсов) создаёт проблему "разрежённости" — сообщения, различающиеся только параметрами, должны быть распознаны как схожие.
Таким образом, обработка логов ИИ-агентов требует не только эффективных методов NLP, но и учета семантической близости на уровне смысла, а не только лексического сходства. Это определяет необходимость использования методов векторного представления, способных улавливать семантические отношения между текстами [6].
 
2 Методы NLP для предобработки текстовых данных логов
2.1 Токенизация и нормализация текста
Предобработка текста является критически важным этапом, от которого зависит качество всех последующих операций. В контексте журналов ИИ-агентов предобработка должна учитывать специфику логов: наличие технических терминов, смешение языков, наличие параметров и служебных символов.
Первым шагом является токенизация – разбиение текста на отдельные элементы (токены). Для русского и английского языков применяются разные подходы. В русском языке токенизация осложняется наличием словоформ, падежных окончаний, а также тем, что пробел не всегда является надёжным разделителем (например, в составных терминах). Для логов также важна обработка специальных символов: фигурных скобок, квадратных скобок, кавычек, которые часто используются для выделения параметров.
Современные библиотеки, такие как NLTK, spaCy, natasha, предоставляют инструменты для токенизации с учётом языковых особенностей. Для английского языка широко используется токенизатор из spaCy, который учитывает пунктуацию и сокращения. Для русского языка часто применяется библиотека natasha или токенизатор из DeepPavlov.
Второй важный этап – нормализация текста, включающая:
 приведение всех символов к нижнему регистру (lowercasing);
 удаление знаков препинания, если они не несут смысловой нагрузки;
 обработка чисел и параметров (замена на специальные маркеры);
 стемминг или лемматизация.
Особое внимание следует уделить обработке параметров. Поскольку идентификаторы, имена файлов, IP-адреса и другие переменные части сообщения не несут смысловой нагрузки для определения типа инцидента, их целесообразно заменять на обобщённые токены. Например, вместо "user_12345" использовать "[USER]", вместо "10.0.0.1" — "[IP]". Эта операция, называемая "нормализацией параметров", существенно улучшает качество кластеризации.
Стемминг (усечение слов до основы) и лемматизация (приведение к нормальной форме) направлены на уменьшение числа уникальных словоформ. Для русского языка стемминг часто реализуется алгоритмом Портера, но он имеет ограничения, связанные с особенностями русской морфологии. Лемматизация, например с помощью pymorphy2 или библиотеки natasha, дает более точные результаты, но требует больше вычислительных ресурсов. Для логов ИИ-агентов, где важна семантика, предпочтительнее использовать лемматизацию.